Penkios priežastys, dėl kurių reikia įsilaužti, yra kibernetinio saugumo chaoso receptas

Konceptuali iliustracija, rodanti įsilaužimą atgal Sally Thurer

Kartais, kai technologijų politikos formuotojai bando išspręsti problemą, jų siūlomas gydymas tik pablogintų situaciją. Tai tikrai pasakytina apie JAV įstatymų projektus, kurie suteiktų kibernetinių atakų aukoms galimybę sumedžioti įtariamus užpuolikus.

Įstatymo projektas, žinomas kaip Aktyviosios kibernetinės gynybos tikrumo aktas arba sutrumpintai ACDC, skirtas leisti aukoms bandyti susekti užpuolikus patenkant į organizacijų, kurias, jų manymu, įsilaužėliai panaudojo išpuoliams, sistemas. Dažnai šios organizacijos gali būti kitos įmonės, kurios nežino, kad jų kompiuteriai buvo pažeisti. Galiojantis JAV įstatymas draudžia tokį persekiojimą, kuris žinomas kaip įsilaužimas atgal. Tik kelios vyriausybinės agentūros, tokios kaip FTB, turi teisę tokiu būdu sumedžioti įtariamus programišius.

Neseniai JAV Kongrese pristatyto įstatymo projekto šalininkai teigia, kad FTB ir kitos vyriausybinės agentūros jau yra priblokšti kibernetinių atakų, įskaitant išpirkos reikalaujančią programinę įrangą, kuri paralyžiavo kompiuterines sistemas tokiuose miestuose kaip Atlanta ir Baltimorė, ir masines duomenų vagystes didelėse įmonėse. kaip Marriott viešbučių tinklas . Teoriškai suteikus įmonėms ir asmenims teisę patiems užsiimti medžiokle, agentūrų pastangos būtų paremtos.

Kovoja atgal

JAV vyriausybė pranešė, kad imasi aktyvesnio požiūrio siekiant atgrasyti nuo kibernetinių grėsmių . Tačiau ACDC įstatymo projekto rėmėjai respublikonų kongresmenas Tomas Gravesas ir demokratas Joshas Gottheimeris teigia, kad įmonėms ir kitoms privataus sektoriaus organizacijoms reikia didesnės laisvės apsiginti. Jie taip pat teigia, kad kai kurios įmonės jau užsiima tam tikromis skaitmeninio budrumo formomis ir kad jų įstatymo projektas išvalytų teisinę pilkąją sritį.

Siūlomas teisės aktas (kurio visą tekstą rasite istorijos apačioje) pakeis esamą JAV įstatymą, Sukčiavimo kompiuteriu ir piktnaudžiavimo įstatymą (CFAA), kad įmonės ir asmenys galėtų įsilaužti, kad surastų nuolatinius užpuolikus. Jie taip pat galėtų stebėti įsilaužėlių sistemas ir sutrikdyti jų veiklą.

Įstatymo projekte teigiama, kad naujomis galiomis turėtų naudotis tik kvalifikuoti gynėjai, kurie labai pasitiki savo užpuoliko tapatybe. Jie turi informuoti FTB ir ieškoti jo nurodymų prieš įsilauždami – ir daryti viską, kad nepakenktų trečiųjų šalių sistemoms ir nesukeltų karo veiksmų eskalavimo.

Visa tai gali atrodyti pagrįsta, tačiau ACDC įstatymas yra labai ydingas, nes:

1. Daugumai kompanijų trūksta įgūdžių priimti įmantrius užpuolikus

Įstatymo projekte nenurodoma, kas tiksliai atitinka įmonės ar asmens kvalifikuotus gynėjus. Šis neapibrėžtumas gali leisti visoms įmonėms atsigauti. Tačiau nors, tarkime, „Google“ beveik neabejotinai turi žinių, kaip tai padaryti efektyviai, daugelis kitų to neturės.

Seanas Weppneris, buvęs JAV Gynybos departamento kibernetinis pareigūnas, dabar dirbantis kibernetinio saugumo įmonėje „Nisos“, mano, kad įsilaužimą geriausia patikėti vyriausybėms. Jis sako, kad nedaugelis žmonių turi patirties ir žinių, reikalingų tai padaryti niuansuotai ir kontroliuojamai.

2. Tikrai sunku tiksliai žinoti, kas slypi už kibernetinės atakos

Įsilaužėliai yra užmaskavimo meistrai ir paprastai slepia savo pėdsakus naudodami tokius dalykus kaip suklastoti IP adresai ir įsilaužimo įrankiai. sukūrė kiti . Taip pat labai sunku įsitikinti, kad kompiuteris, kuris, atrodo, yra už atakos, nebuvo įsilaužtas. Tai gali lengvai sukelti netinkamas sistemas.

3. Sąskaita nesuteikia jokios realios apsaugos, kai viskas klostosi ne taip

Labai lengva padaryti netyčinę žalą nekaltų šalių kompiuteriams. Net ir patys įmantriausi įsilaužėliai kartais išsiurbia kodą, kuris turi nenumatytų pasekmių.

Anne Toomey McKenna, Penn State universiteto profesorė, pabrėžia, kad net jei ACDC įstatymas būtų priimtas, įmonėms vis tiek tektų kelti brangius civilinius ieškinius tiek federaliniu, tiek valstijų lygmenimis, jei jie pakenktų kitų JAV įmonių kompiuteriams ar duomenims. Ir jei jie sugadintų sistemas užsienio šalyse, jie vis tiek galėtų būti apmokestinti pagal vidaus kovos su įsilaužimu įstatymus. Tai atveria duris įmonėms [nulaužti atgal], sako ji, bet tai jų tikrai neapsaugo.

4. Įstatymo projektas neišvengiamai sukeltų žalingų represijų

Įstatymo projekte sakoma, kad tie, kurie nusilaužia, turėtų labai stengtis neeskaluoti karo veiksmų. Tačiau įsilaužėliai nesiruošia lengvabūdiškai žiūrėti į atakas prieš savo sistemas. Jau radę įtrūkimų aukų skaitmeninėje gynyboje, jie gali išnaudoti daugiau jų, jei bus provokuojami.

5. Privačios įmonės gali susidurti su nacionalinėmis valstybėmis

Manoma, kad tokios šalys kaip Šiaurės Korėja, Rusija ir Iranas yra už didžiausių kibernetinių grėsmių, su kuriomis šiandien susiduria verslas. Tikrai nepatartina jų imtis vienai įmonei.

Sandra Joyce iš kibernetinio saugumo įmonės „FireEye“ nerimauja, kad jei ACDC įstatymas bus priimtas, tai taip pat gali tapti precedentu, skatinančiu kitas šalis sušvelninti savo kovos su įsilaužimu įstatymus. Kai kurioms tautoms gali kilti pagunda padaryti įmonėms daug lengviau įsilaužti, nei tai yra JAV. Tai sukeltų dar didesnę kibernetinės katastrofos riziką, perspėja Joyce.

Geresnis požiūris būtų, kad įmonės sutelktų dėmesį į savo gynybos stiprinimą. Daugelį pažeidimų vis dar sukelia pagrindinės saugos klaidos, pvz., prastai apsaugoti slaptažodžiai ir nesėkmės reguliariai atnaujinant programinę įrangą.

Tuo pačiu metu JAV turi daugiau dirbti su savo sąjungininkais, kad propaguotų tarptautines normas, kurios padėtų sumažinti įtampą kibernetinėje erdvėje. Priėmus teisės aktus, tokius kaip ACDC įstatymas, tik būtų sukurtas legalus greitkelis į didesnį įsilaužimo pragarą.

paslėpti